Citrix NetScaler ADC and Gateway Vulnerability Enables Cross-Site Scripting Attacks
2025/11/12 CyberSecurityNews — Cloud Software Group が公開したのは、Citrix NetScaler ADC／NetScaler Gateway 製品に影響を与えるクロスサイト・スクリプティング (XSS) の脆弱性 CVE-2025-12101 (CVSSv4：5.9) である。この脆弱性を悪用する攻撃者は、ユーザーが閲覧する Web ページに悪意のスクリプトを挿入し、セッション・ハイジャック／データ窃取／不正な操作などを引き起こす可能性を得る。ネットワークからの悪用が可能であるが、ユーザーの操作に依存すると指摘されている。
NetScaler ADC (旧 Citrix ADC)／NetScaler Gateway は、世界中の数多くの組織にとって重要なアプリケーション配信コントローラであり、セキュアなリモート・アクセス・ソリューションとしても機能している。
それらの機能は、VPN 接続／負荷分散／認証の処理を担っているため、脅威アクターにとって格好の標的となる。この XSS 問題は、Web ページの生成時における、入力の不適切な無効化に起因しており、CWE-79 に分類されている。
Citrix NetScaler ADC／Gateway の脆弱性
この脆弱性を悪用する前提として、特定のコンフィグが必要になる。具体的に言うと、標的となる NetScaler は、認証のために Gateway (VPN／ICA／CVPN／RDP) または、AAA 仮想サーバとして動作している必要がある。
この脆弱性の影響が及ぶバージョンには、NetScaler ADC／Gateway の 14.1 (14.1-56.73 未満)／13.1 (13.1-60.32 未満)／13.1-37.250-FIPS および、NDcPP の 13.1-FIPS／12.1-55.333-FIPS ／12.1-FIPS が含まれる。
なお、バージョン 12.1／13.0 はサポート終了 (EOL) となっているため、永続的に脆弱な状態となる。また、NetScaler インスタンスにおいて、オンプレミス／ハイブリッド展開の Secure Private Access を利用しているユーザーも同様のリスクに直面している。したがって、それらのコンポーネントをアップグレードする必要がある。
このアドバイザリが適用されるのは、顧客が管理するアプライアンスにのみとなる。その一方で Cloud Software Group は、マネージド・クラウド・サービスと Adaptive Authentication のアップデートに責任を持つ。
脆弱性の検出にあたって、管理者にとって必要なことは、NetScaler のコンフィグで認証仮想サーバ (例：add authentication vserver .*) もしくは、Gateway 設定 (例： VPN 関連コマンド) を検査することだ。
現時点において、この脆弱性の悪用事例は報告されていないが、攻撃は容易であるため、パッチが適用されていないレガシー・システム環境が、脅威アクターに狙われる可能性がある。
Cloud Software Group が推奨するのは、NetScaler ADC／Gateway の 14.1-56.73 以降／13.1-60.32 以降／FIPS/NDcPP バリアントの 13.1-37.250 以降と 12.1-55.333 以降への、速やかなアップグレードである。
サポート終了 (EOL) ユーザーは、最新バージョンへと移行することで、リスクを軽減する必要がある。同社は修正プログラムを無償で提供しているが、情報は “As Is” で提供されており、システムへの影響については一切保証しないと強調している。
Citrix NetScaler が Web ページを生成する際の、入力内容の十分な無害化が行われていないようです。その結果として、攻撃者が悪意のスクリプトを挿入し、ユーザーの操作に紛れて不正な処理を行える状態になっていました。特に、認証用の Gateway として動作している環境ほど影響を受けやすく、サポートが終了した古いバージョンでは修正が得られません。ご利用のチームは、ご注意ください。よろしければ、Citrix NetScaler で検索してください。
IoT OT Security News 
You must be logged in to post a comment.